webrtc
WebRTC（网页实时通信，Web Real-Time Communication）是一个支持网页浏览器进行实时语音对话或视频对话的开源标准。使用WebRTC，用户无需安装其他软件或浏览器插件即可进行即时通讯。近日WebRTC曝出安全漏洞，可能泄露用户的真实IP地址，即使用户使用了VPN。
什么是WebRTC？
WebRTC实现了基于网页的视频会议，标准是WHATWG 协议，目的是通过浏览器提供简单的javascript就可以达到实时通讯（Real-Time Communications (RTC)）能力。
在去年的Google I/O 大会上，Google表示WebRTC将支持超过十亿个不同端点（桌面浏览器和移动设备端），也就是说WebRTC将应用Chrome浏览器和Android移动操作系统。
漏洞描述及影响
这个漏洞是在上月末被发现的。通过该漏洞，网站管理员可以轻易地通过WebRTC看到用户的真实IP地址，即使用户使用VPN隐藏自己的IP。
该漏洞影响了支持WebRTC的浏览器，包括Google Chrome和火狐，不过似乎只影响Windows操作系统。
漏洞原理
WebRTC采用STUN(Session Traversal Utilities for NAT)、TURN和ICE等协议栈对VoIP网络中的防火墙或者NAT进行穿透。用户发送请求至服务器，STUN服务器会返回用户所用系统的IP地址和局域网地址。
返回的请求可以通过JavaScript获取，但由于这个过程是在正常的XML/HTTP请求过程之外进行的，所以在开发者控制台看不到。这意味着，这个漏洞的唯一要求就是浏览器要支持WebRTC和JavaScript。
你中招了吗？
安全研究人员Daniel Roesler在GitHub上发布了一个演示，大家可以自己检测一下有没有中招。
你也可以通过下面的方法检测：
1、连接VPN
2、访问http://ipleak.net
如果你的浏览器安全的话，你就会看到上面的画面。
如果你的浏览器存在这个漏洞，你可以看到你的真实IP地址。
防御措施
Chrome用户：
Google Chrome和其他基于Chromium的浏览器用户可以安装插件屏蔽WebRTC或者也可以安装ScriptSafe插件。
Firefox用户：
如果你使用的是Firefox浏览器，你可以安装屏蔽JavaScript的插件如NoScript。或者你也可以通过下列步骤修复：
1、在浏览器地址栏输入about:config
2、在随后出现的提示中点击"我保证会小心”按钮
3、搜索"media.peerconnection.enabled"
4、双击media.peerconnection.enabled首选项，是其值变为"false"
这样就关闭了Firefox中的WebRTC
[参考来源THN，译/Sphinx，转载请注明来自Freebuf黑客与极客（FreeBuf.COM）]
- 上一篇：黑客伪装美女窃取叙利亚反对派近8G军事机密
- 下一篇：热门游戏《英雄联盟》再曝漏洞：黑客可访问玩家账户盗取点券和金币
关注我们 分享每日精选文章
0daybank
已有 22 条评论
萨法
妈的，还真危险，访问一下，我的ip地址和经纬度全出来了。。。
试了一下我的vpn，没成功
可以显示我电脑的局域网IP、VPN为我分配的私网IP和VPN的公网IP 还是很屌的
mac osx 10.10
chrome表示leak了
不用代理屁事都没有，一用代理毛都出来了。
和操作系统无关
：）
还是我大Chrome牛B, 不需要服务器,就可以获取到.
以下代码仅在Chrome下,就可以检测到你的内网IP.
(如果需要外网则需要设置server,代码取自于文章中github的那个仓库)
“`
var pc = new webkitRTCPeerConnection(this.fuck, {optional: [{RtpDataChannels: true}]});
pc.onicecandidate = function(ice){
//skip non-candidate events
if(ice.candidate){
console.log(ice.candidate.candidate);
}
};
pc.createDataChannel("");
pc.createOffer(function(result){
pc.setLocalDescription(result, function(){}, function(){});
}, function(){});
“`
@ 真真 360是“真安全哟”
我的网站安全。？？不过我更好奇他的ip定位那个怎么写的。。。
科普贴。
难怪我说用IE访问就只有VPN的IP，Chrome却吓死人，吓得我都开了Tor Browser。
所以被我关了一部分服务。平时用Tor开meek上网就是好习惯。
还好我在满洲里买的套娃是好的 我刚刚又去打开看了一遍
怕啥？我的真实IP是192.168.0.2
我的真實IP127.0.0.1有本事來黑我啊
都没库存了
转
问题是对于使用WebRTC的项目来说，用户屏蔽了WebRTC那还怎么用？
泄漏的是你的外网ip，不是你这个
指出远端vps和本地内网里的ip，定位是对vps